Private DNS Android vs aplikasi DoH

Jika Anda pernah mencari "DNS terenkripsi di Android", kemungkinan Anda menemukan dua jawaban. Yang satu bilang: tidak perlu aplikasi, cukup nyalakan Private DNS. Yang lain bilang: pasang aplikasi DNS over HTTPS. Keduanya masuk akal. Keduanya menyelesaikan masalah yang sama dengan cara berbeda dan gagal di tempat yang berbeda. Panduan ini menjelaskan cara kerja masing-masing, di mana masing-masing kesulitan, dan cara memilihnya. Kami membuat GreenTunnel, yang menyertakan klien DoH, jadi ingat itu saat membaca.

Apa sebenarnya Private DNS itu

Google menambahkan Private DNS di Android 9. Biasanya ada di Settings → Network & internet → Private DNS (Setelan → Jaringan & internet → DNS Pribadi), meski jalurnya berbeda-beda antar merek ponsel. Ada tiga pilihan:

Off (Nonaktif): pencarian DNS dikirim sebagai teks biasa ke server DNS mana pun yang diberikan jaringan saat itu.
Automatic (Otomatis): bawaannya. Android mencoba DNS over TLS dengan server DNS milik jaringan dan memakainya jika server itu mendukung. Jika tidak, pencarian tetap berupa teks biasa. Ini sering disebut mode oportunistik, dan di sebagian besar jaringan rumah dan seluler artinya tidak ada enkripsi sama sekali.
Private DNS provider hostname (Nama host penyedia DNS pribadi): Anda mengetik hostname penyedia, misalnya dns.google untuk Google Public DNS. Android lalu mewajibkan server itu. Jika tidak bisa menjangkaunya, Android tidak diam-diam kembali ke DNS biasa. Pengumuman Google menyebut Android justru menandai jaringan sebagai tidak punya akses internet.

DNS over TLS distandarkan dalam RFC 7858 dan memakai port sendiri, yaitu 853. Port khusus itu sekaligus kekuatan dan kelemahannya: rapi dan ringan, tetapi juga mudah dikenali dan diblokir oleh jaringan.

Bagaimana dengan DNS over HTTPS di Android?

Ada satu nuansa yang sering terlewat di banyak panduan. Pada Juli 2022, Google mengumumkan bahwa lewat pembaruan sistem Google Play, perangkat Android 11 ke atas memakai DNS over HTTP/3 sebagai ganti DNS over TLS untuk server DNS terkenal yang mendukungnya. Google dan Cloudflare adalah penyedia yang tercakup saat peluncuran. Tulisan Google menegaskan bahwa layanan DNS yang Anda pakai tidak berubah, hanya cara pengirimannya. Anda tetap mengetik hostname di kotak Private DNS yang sama. Tidak ada kolom untuk alamat DoH sembarang, dan untuk penyedia lain Private DNS tetap memakai DNS over TLS.

Apa yang dilakukan aplikasi DoH secara berbeda

Aplikasi DoH, atau aplikasi VPN dengan klien DoH, mengambil alih DNS untuk seluruh perangkat lewat slot VPN Android. Setiap pencarian berjalan di dalam HTTPS ke server DoH seperti https://cloudflare-dns.com/dns-query, sesuai RFC 8484.

Memakai port 443. Bagi jaringan, ini terlihat hampir sama dengan koneksi HTTPS lain. Jaringan yang memblokir port 853 untuk menghentikan DNS over TLS biasanya membiarkannya.
Anda memilih server dan protokolnya. Aplikasi bisa menawarkan penyedia DoH dan DoT berdampingan dan beralih di antaranya.
Bisa sepenuhnya menghindari resolver jaringan. Klien yang baik terhubung ke alamat IP bootstrap tetap untuk server DoH, jadi bahkan untuk menemukan server DNS pun tidak bergantung pada DNS jaringan.
Memakai slot VPN. Android hanya mengizinkan satu VPN dalam satu waktu. Aplikasi DoH tidak bisa berjalan bersama aplikasi VPN lain.

Perbandingan langsung

	Private DNS (hostname)	Aplikasi DoH
Perlu aplikasi tambahan	Tidak	Ya
Protokol	DNS over TLS, atau DNS over HTTP/3 untuk beberapa penyedia terkenal di Android 11+	DNS over HTTPS (sebagian aplikasi juga menawarkan DoT)
Port	853 untuk DoT	443
Jika server diblokir	Jaringan tampil tanpa internet sampai Anda mengubah pengaturan	Tergantung aplikasinya. Sebagian beralih ke penyedia lain
Memakai slot VPN	Tidak	Ya
Bisa berjalan dengan aplikasi VPN lain	Ya, dengan konflik yang dijelaskan di bawah	Tidak, hanya satu VPN dalam satu waktu
Membantu melawan filter nama di HTTPS	Tidak	Hanya jika aplikasinya juga melakukan itu

Di mana Private DNS kesulitan

Jaringan yang memblokir port 853. Sebagian kantor, sekolah, dan Wi-Fi publik memblokirnya. Dalam mode hostname, jaringan lalu terlihat rusak. Lihat Situs terbuka di data seluler, tapi tidak di Wi-Fi? untuk tahu bagaimana gejalanya.
Keanehan per jaringan. Pengaturannya berlaku global, tetapi jaringannya tidak sama. Hostname yang berfungsi di data seluler bisa gagal di satu Wi-Fi tertentu.
Halaman login di Wi-Fi publik. Jaringan hotel dan kafe yang punya halaman masuk bisa bermasalah dengan hostname tetap sampai Anda selesai login. Beralih sebentar ke Automatic biasanya menyelesaikannya.
Automatic sering kali tidak terenkripsi. Sebagian besar server DNS milik ISP tidak menawarkan DNS over TLS, jadi Automatic diam-diam tetap memakai DNS biasa.

Di mana aplikasi DoH kesulitan

Harus terus berjalan. Jika Android menghentikan aplikasi untuk menghemat baterai, perlindungan DNS ikut berhenti. Lihat menjaga VPN tetap berjalan di Android.
Menghalangi VPN lain. Anda tidak bisa memakainya bersama VPN kantor di ponsel yang sama.
Servernya bisa diblokir lewat alamat IP. Port 443 tidak membantu jika jaringan memblokir alamat server DoH. Klien yang bisa beralih ke penyedia lain menangani ini lebih baik.

Konfliknya: Private DNS ditambah aplikasi VPN

Sejak Android 10, hostname Private DNS juga berlaku saat aplikasi VPN berjalan. Petunjuk Google Public DNS sendiri mencatat bahwa di Android 9 VPN mengesampingkan Private DNS, dan hal itu diperbaiki di Android 10. Dalam praktiknya, jika Anda mengatur hostname lalu menyalakan aplikasi VPN dengan DNS sendiri, Android justru mengirim pencarian ke penyedia Private DNS Anda. DNS terenkripsi milik VPN dan daftar blokirnya tidak pernah melihat nama-nama itu. Jika penyedia tersebut diblokir di jaringan saat itu, semua situs gagal.

Dengan GreenTunnel, setel Private DNS ke Off atau Automatic selama Anda memakainya. Ini salah satu pemeriksaan pertama di Situs masih diblokir?

Cara GreenTunnel menangani DNS

GreenTunnel adalah VPN lokal dengan klien DNS terenkripsi bawaan. Di Pengaturan → DNS, Anda memilih salah satu dari tiga penyedia, atau Otomatis:

Cloudflare, DoH, https://cloudflare-dns.com/dns-query
Google, DoH, https://dns.google/dns-query
Quad9, DoT, dns.quad9.net:853

Otomatis mencoba Cloudflare, lalu Google, lalu Quad9, dan terus memakai yang menjawab. Setiap penyedia dijangkau lewat IP bootstrap bawaan, jadi DNS milik ISP Anda tidak pernah ditanya. DoQ tidak didukung. Panduan lengkapnya ada di penjelasan DoH dan DoT.

Bedanya dengan aplikasi yang hanya mengurus DNS adalah apa yang terjadi setelah pencarian. GreenTunnel juga mengubah bentuk paket pertama koneksi HTTPS untuk melewati filter nama sederhana, menampilkan koneksi per aplikasi di Requester, dan bisa menguji sebuah situs dengan Periksa URL. Kami tidak pernah mengumpulkan domain yang Anda cari.

Batasan DNS terenkripsi yang jujur

DNS terenkripsi, dengan cara apa pun Anda mendapatkannya, mengatasi satu jenis blokir: jaringan yang memalsukan atau membuang jawaban DNS. Ia tidak menghentikan jaringan membaca nama situs di handshake HTTPS, yang butuh pengubahan bentuk paket atau ECH. Ia tidak menembus blokir IP. Ia tidak menyembunyikan alamat IP Anda, dan ISP Anda tetap bisa melihat alamat mana yang Anda hubungi. Penyedia DNS yang Anda pilih melihat pencarian Anda, bukan lagi ISP, jadi pilih penyedia yang kebijakannya Anda percayai. GreenTunnel juga bukan alat anonimitas.

Mana yang sebaiknya Anda pakai?

Hanya ingin pencarian DNS terenkripsi di jaringan yang normal? Private DNS dengan hostname penyedia itu sederhana dan tidak butuh aplikasi.
Jaringan Anda memblokir port 853, memalsukan DNS, atau menyaring nama situs? Aplikasi DoH, idealnya yang juga menangani filter nama, lebih cocok. Setel Private DNS ke Off atau Automatic.
Anda sudah memakai VPN kantor? Tetap pakai Private DNS, karena hanya satu aplikasi VPN yang bisa berjalan.

GreenTunnel gratis di Android dan iPhone, dengan Premium opsional. Lihat cara kerjanya di beranda.

Pertanyaan yang sering diajukan

Apakah Private DNS Android memakai DoH atau DoT?

DNS over TLS di port 853. Sejak pembaruan sistem Google Play pada 2022, Android 11 ke atas memakai DNS over HTTP/3 sebagai gantinya untuk beberapa penyedia terkenal yang mendukungnya, dimulai dari Google dan Cloudflare. Anda tidak bisa memasukkan alamat DoH khusus.

Haruskah Private DNS tetap aktif saat memakai GreenTunnel?

Setel ke Off atau Automatic. Hostname penyedia membuat Android mengirim pencarian langsung ke penyedia itu, sehingga DNS terenkripsi GreenTunnel dan daftar blokir Anda terlewati.

Apakah DoH lebih privat daripada DoT?

Keduanya mengenkripsi pencarian sama baiknya. Bedanya ada pada seberapa mudah dikenali dan diblokir. DoT memakai port khusus, sementara DoH menyatu dengan HTTPS di port 443.

Apakah DNS terenkripsi bisa membuka blokir semua situs?

Tidak. DNS terenkripsi hanya mengatasi blokir berbasis DNS. Situs yang diblokir lewat filter nama butuh lebih dari itu, dan situs yang diblokir lewat alamat IP butuh rute yang sama sekali berbeda.

Sumber

Android Developers Blog, DNS over TLS support in Android P Developer Preview (April 2018).
Google Security Blog, DNS-over-HTTP/3 in Android (Juli 2022).
Google Public DNS, Get started (penyiapan Private DNS Android dan catatan VPN di Android 9), dibaca November 2026.
IETF, RFC 7858: DNS over TLS.
IETF, RFC 8484: DNS Queries over HTTPS.